Kara 27 mln zł dla Poczty Polskiej uchylona. Co mówi WSA w wyroku z 5 marca 2026 r.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 5 marca 2026 r. (sygn. II SA/Wa 837/25) uchylił punkt 2 decyzji Prezesa UODO nr DKN.5131.1.2025 z 17 marca 2025 r., tym samym najwyższa w historii polskiego nadzoru nad ochroną danych osobowych kara administracyjna w wysokości 27 mln zł nałożona na Pocztę Polską S.A. przestała istnieć w obrocie prawnym. Wyrok nie jest prawomocny. Prezes UODO ma 30 dni na skargę kasacyjną do Naczelnego Sądu Administracyjnego.

Uzasadnienie wyroku jest istotne dla każdego, kto wykonuje decyzje organów administracji i jednocześnie przetwarza dane osobowe, a to znacznie szersza grupa niż operatorzy pocztowi.

Co stwierdził sąd

Sąd nie przesądził, czy w kwietniu 2020 r. Poczta Polska miała podstawę prawną do przetwarzania danych z bazy PESEL. WSA zrobił coś innego: wskazał błąd metodologiczny w decyzji Prezesa UODO.

Według sądu Prezes UODO oceniał stan bezprawności przetwarzania z perspektywy roku 2025, posługując się wyrokami, które dopiero wówczas uzyskały walor prawomocności. Tymczasem, zgodnie z Kodeksem postępowania administracyjnego, decyzja administracyjna obowiązuje do dnia, w którym zostanie z obrotu wyeliminowana we właściwym trybie. W okresie przetwarzania danych, od 22 kwietnia do 22 maja 2020 r., decyzja ówczesnego Prezesa Rady Ministrów z 16 kwietnia 2020 r. korzystała z domniemania prawidłowości.

Poczta Polska, jako adresat tej decyzji, nie miała możliwości samodzielnej odmowy jej wykonania. Brak wykonania mógł skutkować egzekucją administracyjną. Jedyna droga zakwestionowania decyzji prowadziła przez skargę do sądu administracyjnego, ale, co podkreślił WSA, nawet złożenie skargi nie zwalniało z obowiązku wykonania. Dopóki decyzja pozostawała w obrocie, była wiążąca.

Wyrok NSA z 28 czerwca 2024 r., który WSA przywołał

W uzasadnieniu WSA odwołał się do wyroku Naczelnego Sądu Administracyjnego z 28 czerwca 2024 r. (sygn. II OSK 4524/21), który utrzymał w mocy orzeczenie stwierdzające nieważność decyzji Premiera z 16 kwietnia 2020 r. Sąd podkreślił, że decyzje administracyjne rodzą skutki prawne z momentem ich wydania i aż do chwili ich prawomocnego uchylenia wiążą adresatów, niezależnie od tego, że ostatecznie zostaną uznane za nieważne.

Wcześniej, w wyroku z 15 września 2020 r. (sygn. VII SA/Wa 992/20), WSA w Warszawie stwierdził, że decyzja Premiera z 16 kwietnia 2020 r. została wydana bez podstawy prawnej i z rażącym naruszeniem prawa. To właśnie ten wyrok, po jego uprawomocnieniu, stał się dla Prezesa UODO asumptem do wszczęcia postępowania zakończonego karą z marca 2025 r.

Stanowisko UODO

Po ogłoszeniu wyroku UODO zakomunikował, że z argumentacją sądu się nie zgadza. Organ stoi na stanowisku, że spółka Skarbu Państwa, biorąc pod uwagę skalę przetwarzania (dane 30 mln obywateli) i wrażliwość zbioru (bazy PESEL), powinna była przeprowadzić dogłębną analizę prawną polecenia, jakie otrzymała. Sam fakt pisemnej decyzji administracyjnej, zdaniem UODO, nie wyczerpuje obowiązku staranności wynikającego z art. 5 ust. 2 RODO, który nakłada na administratora obowiązek rozliczalności.

Spór jest więc merytoryczny: czy adresat decyzji ma prawo opierać się wyłącznie na domniemaniu jej legalności, czy też spoczywa na nim odrębny obowiązek weryfikacji zgodności zlecenia z RODO. Jeśli sprawa trafi do NSA, właśnie ta kwestia zostanie rozstrzygnięta na poziomie ogólnokrajowym.

Praktyczne wnioski dla kancelarii i firm

Niezależnie od tego, jak zakończy się postępowanie kasacyjne, wyrok zmienia sposób, w jaki powinny być konstruowane zarówno skargi w sprawach RODO, jak i same decyzje organów nadzorczych.

Po pierwsze, w sprawach, w których klient wykonywał pisemne polecenie organu państwowego (na przykład wezwanie prokuratury, postanowienie sądu, decyzję KNF, zarządzenie wojewody), argumentacja WSA daje mocną podstawę do obrony: odpowiedzialność administratora nie rodzi się z momentu późniejszego zakwestionowania legalności polecenia, lecz musi być badana na dzień czynności przetwarzania.

Po drugie, wyrok nie zwalnia z obowiązku prowadzenia analizy przed przystąpieniem do przetwarzania. WSA wskazał wyłącznie, że organ nadzorczy musi ustalić, czy w dniu czynności istniało formalne umocowanie. Jeśli administrator sam rozpoczyna przetwarzanie bez żadnego pisemnego polecenia, argumentacja z wyroku nie ma zastosowania.

Po trzecie, spory RODO zyskują coraz bardziej „procesowy" charakter. WSA uchylił decyzję UODO nie dlatego, że przetwarzanie było legalne, ale dlatego, że organ źle uzasadnił jej bezprawność. To oznacza, że jakość uzasadnień decyzji UODO będzie miała coraz większe znaczenie, a kancelarie prowadzące skargi mają kolejny argument proceduralny.

Co dalej

Prezes UODO najprawdopodobniej złoży skargę kasacyjną. Przy stawce, ponad 27 mln zł i doniosłości orzeczenia dla przyszłych postępowań, trudno wyobrazić sobie, żeby organ nadzorczy zaakceptował uchylenie bez dalszej drogi procesowej. Finalne rozstrzygnięcie zapadnie w NSA i może potrwać od kilkunastu do kilkudziesięciu miesięcy.

Równolegle Prezes UODO nałożył na Pocztę Polską kolejną karę, 978 tys. zł decyzją DKN.5131.4.2025 ze stycznia 2026 r., tym razem za brak zapewnienia niezależności funkcji inspektora ochrony danych. Sprawa dotyczy zupełnie innego stanu faktycznego i nie jest bezpośrednio powiązana z karą 27 mln zł.

Autor: Zespół Beznazwisk.pl. Tekst ma charakter informacyjny i nie stanowi porady prawnej.